Anthropic åpner Mythos-funn for deling utenfor Glasswing

Reuters melder at Anthropic snur i et viktig spørsmål rundt Claude Mythos: hvem som får vite om sårbarhetene modellen finner.

Selskapet sier nå at partnere i Project Glasswing kan dele informasjon om cybertrusler og sårbarheter med andre som kan være utsatt for samme feil. Det gjelder ikke bare deltakere i Glasswing. Ifølge Reuters kan funn, beste praksis, verktøy og kode deles med sikkerhetsteam i andre selskaper, bransjeorganisasjoner, regulatorer, myndigheter, open source-vedlikeholdere, medier eller offentligheten, så lenge ansvarlig varsling følges.

Det høres smalt ut. Det er det ikke.

Mythos er ikke en vanlig sikkerhetsskanner. Anthropic har selv beskrevet Claude Mythos Preview som en modell med svært sterke kode- og sårbarhetsevner. Project Glasswing ble lansert med Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA og Palo Alto Networks blant partnerne. Målet var å bruke en ikke-offentlig modell til defensiv sikkerhet før tilsvarende kapasitet sprer seg bredere.

Nå flyttes tyngdepunktet fra lukket test til koordinert varsling. Det er en styringssak.

Reuters skriver at partnerne først ønsket konfidensialitet fordi funnene kunne være sensitive, og fordi selskapene selv kunne bli mål dersom detaljer om sårbarheter lekket. Anthropic sier at det aldri fantes en spesifikk Glasswing-NDA, men at beskyttelser ble bygget inn i avtalene partnerne signerte.

Selskapet sier nå at programmet har modnet. Mer informasjon skal kunne deles bredt for maksimal defensiv effekt.

For norske CIO-er og CISO-er er poenget enkelt: AI-drevet sårbarhetsjakt gjør gamle varslingsrutiner for trege.

Når en modell kan finne feil i operativsystemer, nettlesere, bibliotek og intern kode raskere enn tradisjonelle team, holder det ikke å ha én intern sikkerhetskanal og en uklar leverandørklausul. Ledelsen må vite hvem som kan motta et funn, hvem som kan dele det videre, når open source-prosjekter skal varsles, og når regulatorer eller kunder må inn i loopen.

Det krever tre ting.

Først: kontrakter som skiller mellom hemmelighold og ansvarlig deling. Leverandører må ikke kunne gjemme kritiske funn bak brede konfidensialitetsklausuler hvis andre kunder eller felleskomponenter er utsatt.

Deretter: patch-SLA-er som tar høyde for AI-tempo. Et funn som tidligere kom fra et pentest-team én gang i kvartalet, kan nå komme fra en modell som skanner store kodebaser kontinuerlig. Da må endringsvinduer, risikoklassifisering og unntak håndteres som drift, ikke som ad hoc-kriser.

Til slutt: sporbarhet. Hvis en partner deler kode, et proof-of-concept eller en regel for deteksjon, må virksomheten kunne vise hva som ble mottatt, hvem som godkjente bruk, hvilke systemer som ble påvirket, og når feilen ble lukket.

Det er særlig relevant for banker, helse, energi, offentlig sektor og leverandører av programvare til kritiske prosesser. Disse miljøene har mange avhengigheter de ikke kontrollerer selv. En AI-modell kan finne feilen. Den vanskelige delen er å få riktig informasjon til riktig eier uten å gi angripere en ferdig oppskrift.

Det er også derfor Anthropic-saken bør leses sammen med de siste ukene med Mythos-nyheter. Modellen er ikke bare et produktspørsmål. Den påvirker hvordan sårbarheter oppdages, prioriteres, deles og patches. Det er sikkerhetsdrift, leverandørstyring og styreansvar i samme pakke.

Den praktiske testen for norske ledere er brutal, men nyttig: Hvis en leverandør i morgen finner en kritisk feil i en komponent dere bruker, ved hjelp av en lukket AI-modell, hvem har lov til å fortelle dere hva? Og hvor raskt klarer dere å gjøre noe med det?

Hvis svaret krever et møte for å finne ut hvem som eier prosessen, er prosessen for svak.

Kilder og medier

• Primærkilde: Reuters, "Anthropic to let partners share Mythos cybersecurity findings with others", publisert 18. mai 2026: https://www.reuters.com/technology/anthropic-let-partners-share-mythos-cybersecurity-findings-with-others-2026-05-18/
• Kontekst: Anthropic, Project Glasswing: https://www.anthropic.com/glasswing
• Reuters-bilde i originalartikkelen er ikke rehostet. Thumbnail: OpenAI Image 2 / hogby.ai.